Der Data Act ist die EU-Verordnung 2023/2854, auch Datenverordnung genannt, die harmonisierte Regeln für einen fairen Zugang zu und eine faire Nutzung von Daten schafft, die durch vernetzte Produkte und verbundene Dienste entstehen.
Vernetzte Geräte wie Maschinen, Fahrzeuge oder Haushaltsgeräte erzeugen bei ihrer Nutzung große Mengen an Daten. Bislang landeten diese Daten häufig allein bei den Herstellern der Geräte. Der Data Act gibt Nutzerinnen und Nutzern solcher Produkte das Recht, auf die dabei erzeugten Daten zuzugreifen und sie – auf eigenen Wunsch – auch an Dritte weiterzugeben.
Die Verordnung verpflichtet Hersteller und Anbieter vernetzter Produkte und zugehöriger Dienste, Nutzende standardmäßig und möglichst unmittelbar über die anfallenden Daten zu informieren und ihnen auf Verlangen Zugang zu diesen Daten zu gewähren. Nutzende können verlangen, dass ihre Daten direkt an einen von ihnen gewählten Dritten weitergegeben werden, etwa um unabhängige Reparatur- oder Wartungsdienste zu nutzen, die sonst keinen Zugriff auf die herstellerseitig gesammelten Daten hätten. Zugleich enthält der Data Act Regeln zum Schutz von Geschäftsgeheimnissen der Hersteller sowie Vorgaben für einen erleichterten Wechsel zwischen Cloud- und Datenverarbeitungsdiensten.
Der Betreiber einer vernetzten Landmaschine möchte die von seiner Maschine erzeugten Betriebsdaten nicht nur dem Maschinenhersteller, sondern auch einem unabhängigen Wartungsbetrieb zugänglich machen. Der Data Act verpflichtet den Hersteller, diesen Datenzugang auf Wunsch des Betreibers tatsächlich zu ermöglichen.
Der Data Act wird angewendet, um Nutzende vernetzter Produkte von der einseitigen Datenhoheit der Hersteller unabhängiger zu machen, Wettbewerb bei datenbasierten Zusatzdiensten wie Wartung oder Reparatur zu ermöglichen und einen funktionierenden, faireren Markt für Industrie- und Nutzungsdaten innerhalb der EU zu fördern.
Der Data Act regelt vor allem den Zugang zu und die Weitergabe von Daten aus vernetzten Produkten und verbundenen Diensten; er ersetzt nicht die Datenschutz-Grundverordnung, die für personenbezogene Daten unabhängig davon weiterhin uneingeschränkt gilt. Häufig wird außerdem übersehen, dass die Verordnung ausdrücklich auch Schutzmechanismen für Geschäftsgeheimnisse der Hersteller vorsieht – ein Datenzugang für Nutzende bedeutet also nicht automatisch eine schrankenlose Offenlegungspflicht.
Nicht zu verwechseln mit Data Governance: Data Governance beschreibt interne organisatorische Regeln zum Umgang mit Daten, der Data Act ist ein verbindlicher europäischer Rechtsrahmen, der Datenzugangsrechte gegenüber Dritten vorschreibt. Ebenfalls abzugrenzen ist Datenportabilität: Datenportabilität nach der Datenschutz-Grundverordnung betrifft die Übertragbarkeit personenbezogener Daten durch betroffene Personen, der Data Act regelt breiter den Zugang zu Daten vernetzter Produkte unabhängig vom Personenbezug.